Allarme Cisco Secure Email Gateway: CVE-2026-76519 sfruttata, rischio root via email con allegato malevolo

Cisco ha segnalato attacchi attivi che sfruttano una vulnerabilità critica in Cisco Secure Email Gateway, una soluzione usata per filtrare la posta aziendale da spam, malware e allegati pericolosi. Il problema consente a un attaccante non autenticato di inviare una email con un allegato appositamente preparato e ottenere la possibilità di scrivere file sul sistema operativo dell’appliance.

In scenari peggiori, questo può aprire la strada all’esecuzione di comandi con privilegi root, con impatti potenzialmente gravi su riservatezza e continuità operativa.

La falla è identificata come CVE 2026 76519 con punteggio CVSS 9.8, quindi in fascia critica. Non tutti gli ambienti sono esposti in modo automatico: per essere vulnerabile, il gateway deve avere attivo il servizio File Reputation, parte delle funzionalità di Advanced Malware Protection dedicate alla gestione degli allegati, e deve utilizzare un pacchetto Content Scanner Tools precedente alla versione 25.3.0.5525. In pratica, la combinazione di configurazione e componenti non aggiornati crea la superficie di attacco.

Sono interessati sia i gateway fisici sia quelli virtuali che eseguono versioni vulnerabili di AsyncOS, mentre altri prodotti correlati non risultano coinvolti. Cisco indica che la correzione è disponibile tramite build di AsyncOS già distribuite e anche tramite aggiornamento dei Content Scanner Tools, che può essere installato senza riavvio e senza un upgrade completo del software, un dettaglio importante per ridurre i tempi di esposizione.

Verifica dell’esposizione

Per verificare se si è esposti, gli amministratori possono controllare nelle Mail Policies se File Reputation è abilitato e associato a una policy di posta in ingresso o in uscita. Per la versione degli strumenti di scansione, è possibile usare il comando contentscannerstatus da riga di comando, che mostra sia la versione sia la data dell’ultimo aggiornamento. Se gli aggiornamenti automatici non sono attivi, si può intervenire con contentscannerupdate oppure abilitarli nelle impostazioni dei Service Updates.

Controlli e risposta a possibili compromissioni

Cisco fornisce anche un controllo rapido per individuare possibili tentativi di compromissione tramite un comando che cerca indicatori nei log di sistema. In caso di sospetta compromissione, per le appliance virtuali viene consigliata la ricostruzione su una release corretta, la rigenerazione di credenziali e materiale crittografico e il ripristino della configurazione senza importare file precedenti, preservando prima i dati forensi per non perdere evidenze utili.